《中华人民共和国网络安全法》于2017年6月1日颁布，明确了国家实行网络安全等级保护制度，标志了等级保护制度的法律地位，等级保护制度是国家的基本制度、基本国策、地位特殊，对于维护中国网络安全、维护国家安全、社会秩序和公共利益意义重大。

 

为了配合网络安全法的实施，同时适应云计算、移动互联、物联网、工业控制和大数据等新技术、新应用情况下网络安全等级保护工作的开展，弥补等保1.0标准在适用性、时效性、可操作性等方面的缺陷，公安部组织相关单位制定并发布了等保2.0系列标准，为推动标准落地，联软科技积极参与标准宣贯，未来将发布一系列等保2.0标准解读。

 

读者通过本文可了解等保2.0标准的内涵和核心变化，并可了解数字化时代背景下如何构建基于等保2.0和可信数字网络架构的安全保障体系。

 

等保2.0内涵和核心变化

 

为落实“分等级保护、突出重点、积极防御、综合防护”的总体要求，建立“打防管控”一体化的网络安全综合防御体系，提升国家网络安全整体防御能力，公安部于2019年5月13日正式发布了《网络安全等级保护基本要求》、《网络安全等级保护安全设计技术要求》、《网络安全等级保护测评要求》三个核心标准，初步形成了比较完备的等级保护体系，标准主要内涵和变化情况如下：

 

 

 

同时针对云计算、移动互联、工控系统、物联网提出安全扩展要求，如果是金融、电力等关键基础设施，必须在基本要求的基础上，根据自身系统情况，满足扩展相关要求。

 

安全建设需求和建设新思路

 

等级保护制度是在国家大力推进数字化经济的背景下推出的，现在企业纷纷利用新技术进行数字化转型，建立了以数据业务为核心，以云计算、物联网、大数据、人工智能、移动互联网等新技术为支撑的新一代业务系统，推动了企业业务发展，但随着传统IT向新一代IT转变，用户、设备、应用和数据正在向传统企业边界控制区域之外迁移，用户访问未知不固定，传统安全防护手段无法适应移动互联、物联网等新技术场景的安全防护，用户急需针对新一代IT设施，从全新的安全视角构建整体、动态、主动、精准的安全保障体系，并充分发挥可信通信、可信边界、可信计算在企业安全建设的关键作用。

 

Ⅰ.

 

一：满足等级保护2.0合规要求

在等级保护提升到国家基本制度、基本国策的背景下，目前等级保护制度通过网络安全法已上升到法律层面，具备法律约束力，如果不按等保合规要求履行安全建设义务，可能遭受执法部门处罚，主要责任人可能会被追究法律责任。

 

二：解决新技术带来的新风险

随着各行各业推动云计算、移动互联、物联网等新技术应用，需要针对新技术的特点，避开传统安全防护无法有效应对的问题，采用全新的安全视角构建整体、动态、主动、精细的安全保障体系，特别是针对金融、电力等关键基础设施，需要在满足基本要求的情况下，实现重点防护，提升动态、主动防御能力。

 

三：发挥可信技术的关键作用

在安全法明确支持推广国产自主可信的环境下，必须在找漏洞、打补丁等传统安全防护方式的基础上，采取安全可信、主动免疫等新的防护手段，做到攻不进去，非授权信息拿不到，窃取信息看不懂，系统和信息改不了，系统攻击行为赖不掉，实现安全通信、安全区域边界、安全计算环境。

 

四：安全融于业务

在满足等级保护合规的基础上，安全与业务深度融合，且安全不降低业务效率，协助客户快速完成业务开发、业务上线、业务推广等，同时提升用户访问业务的体验。

 

五：加强安全风险管控

通过安全重构大幅减小攻击面和降低问题发生的概率；通过动态授权和访问控制实现身份统一管理，大幅减低入侵可能或延缓攻击；通过大数据、人工智能、欺骗等技术，快速发现入侵，追踪溯源，消除入侵。

 

六：加强安全管理建设

技术和管理并重，加强安全管理机构、制度、人员、建设、运维管理建设，构建统一集中管控平台，实现统一监控、统一安全基线管理、统一策略下发、统一安全事件和行为管理等，防止风险扩散，持续提升安全运营服务能力，实现人机共治。

 

Ⅱ.

 

基于以上需求分析，尊重历史，着眼未来，建议用户基于可信数字网络架构理念构建新一代安全保障体系。

 

由上图可见，可信数字网络架构相对传统安全防护理念具有以下特点：

 

一是可避免被动防御、疲于奔命、很难成功等传统安全防护思路存在的问题，通过安全重构，大幅减小攻击面和降低问题发生的概率；

 

二是在静态防护、漏洞修补等传统安全防护基础上，通过安全重构，减少攻击面，并实现动态授权和访问控制，大幅减低入侵可能，延缓攻击，避免系统瘫痪或数据泄露；

 

三是利用人工智能、主动欺骗等技术对行为进行分析，快速发现入侵，追踪溯源，消除入侵，使得安全体系具备安全对抗的能力。

 

基于此，我们设计了基于可信数字网络架构的平台化安全防护解决方案。

 

Ⅲ. 平台化安全防护解决方案总体框架

 

一：可信接入（前提）

通过建立统一身份认证体系，实现用户、设备、业务等所有用户或设备的统一身份管理和入网管控，通过安全绑定、安全检查等技术，确保入网设备合规、身份真实唯一，并可对入网用户实现动态细粒度访问控制。针对云平台等环境，用户可采用基于零信任的SDP架构，实现用户和设备安全接入、动态细粒度最小权限控制、设备安全合规管理、单点登录、加密传输、数据安全保护等功能，减少业务攻击面，确保终端数据不丢失、不扩散、不泄露。

 

二：设备及资产管理（基础）

通过主动、被动等方式，利用探针、客户端等方式协助客户摸清资产，实现资产分类管理，及时发现非合规、存在风险的资产，及时对风险资产进行预警、审计和处置，提升资产合规率。

 

三：行为可管可控（关键）

不依赖黑白名单，实现网络行为、终端行为、服务器行为、数据使用行为可管可控，不放过任何可疑行为，如在网络行为管理方面，可基于设备画像、大数据、威胁情报等技术实现异常或恶意行为发现管控；同时可基于主动欺骗技术实现入侵行为主动捕捉，并可联动准入、终端管理等设施避免风险扩散，实现风险溯源；在终端行为管理方面，可实现软件使用行为、终端安全行为、终端非法外联、终端打印行为、文件拷贝行为等行为的管理；在服务器行为管理方面可及时发现流量异常行为、管理员配置缺陷等行为的发现和管控；在数据行为管控方面，可实现数据外发、打印截屏等行为的管控。

 

四：数据安全可控（核心）

等级保护2.0明确要求保护个人信息，同时企业自身也存在敏感数据保护问题，如果要实现数据安全管控，首先要掌握需要保护的数据有哪些，分布在什么地方。联软科技具有丰富的，以场景为驱动的解决方案实施经验，可协助客户完成数据梳理，同时提供DLP工具，用户利用关键字、数据标识符、自动聚类、文档DNA等技术通过主动、增量扫描等方式可快速完成敏感数据发现。

 

针对数据使用环节，联软科技提供了邮件/移动存储介质等外发通道监控、外发审计或阻断、数据跨网安全交换、数据使用行为分析审计、文档流转追踪、拍照截屏追踪溯源等数据保护技术，可与用户现有审批流程无缝集成。

 

五：智慧洞察安全（价值呈现）

通过集中管控平台采集各类网络行为、终端操作行为、数据使用行为等数据，利用联软自主研发的大数据、机器学习、设备画像、幻影技术等核心技术，及时发现内网异常行为或外部入侵行为，并及时联动准入等设施控制风险，真正做到用户可见、行为可控、风险可视、响应及时。

 

总结

 

等级保护的实施必须根据用户网络和业务实际情况，需要在满足等保2.0合规要求的前提下，注重安全与业务的融合，任何的安全手段不能降低业务效率，同时要区别对象，重新审视对象，对于云平台等采用新技术构建的设施，需要重新定级并慎重选择技术路线，采用实事求是的科学安全观，统一规划，稳步推进，真正做到不但可以满足等保要求，同时可以满足业务实际需要，不降低业务效率，实现安全与业务的融合共生共存。